Bạn thử nhận một airdrop, mint một thứ gì đó mới hoặc "xác minh" ví, phê duyệt một yêu cầu, rồi nhìn số dư biến mất. Trên Solana, một vụ rút ví thường diễn ra như vậy: một chữ ký, rồi nhiều tài sản cùng lúc bị chuyển đi.
Wallet drainer là gì?
Wallet drainer là một trang web hoặc script lừa đảo được tạo ra để rút sạch ví crypto. Nó khiến bạn phê duyệt một giao dịch, một token approval hoặc một thay đổi đối với ví, hoặc nhập cụm từ khôi phục, rồi chuyển SOL, token và NFT của bạn cho kẻ tấn công.
Drainer hiếm khi trông giống một cuộc tấn công. Chúng trông giống trang nhận thưởng, trang mint, chương trình tặng quà hoặc khung chat hỗ trợ. Nhiều drainer là bộ công cụ (kit) được cho kẻ lừa đảo thuê, và người vận hành bộ công cụ ăn chia một phần tài sản bị đánh cắp, nên cùng một quy trình xuất hiện trên nhiều trang web nhái với thương hiệu khác nhau.
Chỉ kết nối thì không trao khóa của bạn hay chuyển bất cứ thứ gì. Kết nối chia sẻ địa chỉ công khai của bạn và cho phép trang web yêu cầu chữ ký. Thiệt hại xảy ra khi bạn phê duyệt những gì nó yêu cầu, vì vậy chỉ kết nối với những trang web mà bạn chủ động tìm đến.
Drainer trên Solana lấy tài sản của bạn như thế nào?
Có một vài con đường xâm nhập, và mỗi con đường để lại ví của bạn ở một trạng thái khác nhau. Biết điều gì đã xảy ra sẽ cho bạn biết mình vẫn còn bảo vệ được những gì.
Một giao dịch chuyển đi mọi thứ
Một giao dịch Solana có thể gộp nhiều lệnh (instruction), và tất cả cùng được thực thi khi bạn phê duyệt. Drainer lợi dụng điều đó để gói các lệnh chuyển SOL và chuyển token vào một yêu cầu duy nhất trông giống như nhận thưởng hoặc mint. Khi giao dịch được xác nhận, các khoản chuyển không thể hoàn tác.
Một approval có thể dùng về sau
Token approval biến một địa chỉ khác thành delegate trên một trong các tài khoản token của bạn, được phép chuyển hoặc đốt tối đa một lượng nhất định. Drainer có được approval không cần lấy mọi thứ ngay lập tức; nó có thể quay lại lấy những token đó sau. Bạn có thể xóa approval bằng thao tác thu hồi (revoke), miễn là token vẫn còn đó.
Đổi chủ sở hữu tài khoản token của bạn
Một tài khoản token SPL cổ điển có thể được giao cho chủ sở hữu mới bằng một giao dịch mà chủ sở hữu của nó ký. Khi điều đó xảy ra, chủ sở hữu mới kiểm soát những token đó, và không giao dịch nào bạn ký từ ví có thể lấy lại tài khoản. Associated token account của Token-2022 không thể đổi chủ sở hữu, nên thủ đoạn này chỉ hiệu quả với tài khoản token SPL cổ điển, bao gồm tài khoản mặc định của một token như USDC.
Thay đổi chính tài khoản ví của bạn
Một số drainer trên Solana thay đổi chính tài khoản ví. Trong một vụ chiếm quyền mà chúng tôi đã xem xét, nạn nhân đã ký một giao dịch biến địa chỉ của họ thành tài khoản durable nonce với kẻ tấn công là authority. Những drainer khác gán địa chỉ cho một chương trình. Dù bằng cách nào, kẻ tấn công cũng kiểm soát SOL tại địa chỉ đó. Bất cứ thứ gì bạn gửi đến đó đều có thể bị rút hoặc bị khóa, nên các lệnh gửi thông thường từ ví thường thất bại. Token của bạn thường vẫn nằm yên, và hướng dẫn cho ví bị hack của chúng tôi trình bày cách chuyển chúng.
Cụm từ khôi phục hoặc private key của bạn
Trường hợp tệ nhất không cần giao dịch nào. Nhân viên hỗ trợ giả, trang "xác thực ví" giả và biểu mẫu nhận thưởng giả đều đòi cụm từ khôi phục của bạn. Bất kỳ ai có nó đều kiểm soát hoàn toàn ví, cả hiện tại lẫn sau này, và không thao tác thu hồi hay ngắt kết nối nào thay đổi được điều đó.
Dấu hiệu cảnh báo của drainer là gì?
- Sự gấp gáp và tiền miễn phí. "Nhận trước khi hết hạn", airdrop bất ngờ, kiểm tra điều kiện nhận một token bạn chưa từng nghe đến.
- Liên kết từ tin nhắn trực tiếp hoặc phản hồi. Phantom cho biết bộ phận hỗ trợ của họ không bao giờ chủ động liên hệ bạn trước. Hãy coi bất kỳ ai nhắn tin để "sửa" ví cho bạn là kẻ lừa đảo.
- Yêu cầu cụm từ khôi phục hoặc private key. Không quy trình nhận thưởng, mint hay hỗ trợ hợp lệ nào cần chúng.
- Bản xem trước không khớp với nút bấm. Nếu thao tác "nhận" hiển thị token rời khỏi ví, một approval hoặc cảnh báo từ ví, hãy dừng lại.
- Tên miền gần đúng. Cách viết na ná và liên kết từ các tài khoản không chính thức. Hãy mở ứng dụng từ trang web đã xác minh của dự án.
- Chữ ký thông điệp bạn không hiểu. Ký thông điệp không mất phí mạng, nhưng không có nghĩa là tự động vô hại; một chữ ký đăng nhập chung chung có thể bị dùng lại để mạo danh bạn trên dịch vụ khác.
Làm sao bảo vệ ví khỏi drainer?
Hãy đọc những gì ví hiển thị trước khi phê duyệt. Phantom mô phỏng giao dịch và cảnh báo về các yêu cầu đáng ngờ; một yêu cầu nhận thưởng hiển thị token đi ra là lúc nên hủy. Tuy nhiên, bản xem trước sạch không phải là bằng chứng. Một số drainer trên Solana tạo yêu cầu trông vô hại khi mô phỏng hoặc thay đổi những gì xảy ra sau khi bạn ký.
Hãy dùng một ví riêng với số dư nhỏ cho các đợt mint mới, nhận thưởng và ứng dụng lạ, và giữ phần lớn tài sản ở nơi khác. Ví phần cứng giữ khóa của bạn tách khỏi máy tính, nhưng nó ký bất cứ thứ gì bạn phê duyệt, nên không khiến một giao dịch độc hại trở nên an toàn.
Thỉnh thoảng hãy kiểm tra các approval. Công cụ Revoke của chúng tôi quét các tài khoản SPL Token và Token-2022 của bạn để tìm approval bạn đã cấp và cho phép bạn xóa những approval không cần. Công cụ không thu phí nền tảng; bạn chỉ trả phí mạng.
Nên làm gì nếu bị drainer tấn công?
Bắt đầu từ những gì bạn đã phê duyệt. Tìm hàng khớp với điều đã xảy ra:
| Điều đã xảy ra | Ý nghĩa | Bước tiếp theo |
|---|---|---|
| Bạn chỉ kết nối | Trang web có địa chỉ của bạn, không có quyền kiểm soát | Ngắt kết nối trang đó trong mục ứng dụng đã kết nối của ví |
| Bạn đã phê duyệt một giao dịch | Các khoản chuyển của nó không thể hoàn tác; nó cũng có thể đã thiết lập approval | Mở giao dịch trong explorer, rồi làm theo hướng dẫn xử lý trang lừa đảo của chúng tôi |
| Bạn đã cấp một token approval | Drainer có thể quay lại lấy những token đó | Thu hồi approval khi token vẫn còn đó |
| Tài khoản token của bạn hiển thị chủ sở hữu mới | Drainer giờ kiểm soát các tài khoản đó | Chuyển mọi thứ bạn vẫn kiểm soát sang một ví mới |
| Lệnh gửi giờ thất bại và SOL không chuyển được | Tài khoản ví của bạn có thể đã bị chuyển đổi | Chuyển token ra ngoài với một ví khác trả phí, theo hướng dẫn cho ví bị hack của chúng tôi |
| Bạn đã nhập cụm từ khôi phục hoặc khóa | Kẻ tấn công kiểm soát ví | Tạo ví với cụm từ khôi phục mới và chuyển phần còn lại |
Hãy lưu chữ ký giao dịch, địa chỉ trang web và ảnh chụp màn hình trước khi báo cáo. Bỏ qua bất kỳ ai đề nghị khôi phục tiền bị đánh cắp có thu phí: các lời mời khôi phục có trả phí là kiểu lừa đảo tiếp nối phổ biến.
Nếu ví của bạn đã bị chuyển đổi, bạn vẫn có thể thu hồi SOL từ các tài khoản token trống của nó về một ví an toàn. Hướng dẫn cho ví bị hack của chúng tôi chỉ cách làm và chi phí.
Revoke Approvals
Tìm các token approval bạn đã cấp và xóa những approval không cần, mà vẫn giữ token của bạn.